เช็กลิสต์ความปลอดภัยไซเบอร์สำหรับ SME ไทย

ผู้โจมตีพุ่งเป้าที่ธุรกิจขนาดเล็กและกลางเพราะคาดว่าระบบป้องกันอ่อนแอ ซึ่งมักคาดถูก ส่วนที่น่ายินดีคือการเจาะระบบส่วนใหญ่อาศัยช่องโหว่ชุดเล็ก ๆ ที่เข้าใจกันดีอยู่แล้ว การปิดช่องเหล่านั้นไม่ต้องใช้งบระดับองค์กรหรือทีมความปลอดภัย แต่ต้องมีการตัดสินใจว่าใครเป็นเจ้าของงานนี้

นี่คือพื้นฐานที่ทำได้จริงสำหรับ SME ไทย เรียงตามผลลัพธ์ต่อบาทที่จ่าย หากท่านทำแค่สามข้อแรก ก็ตัดเส้นทางการโจมตีที่เป็นไปได้จริงกับธุรกิจขนาดท่านออกไปได้เกินครึ่ง

มาตรการความปลอดภัยที่สำคัญที่สุดสำหรับธุรกิจขนาดเล็กคืออะไร

เรียงตามผลลัพธ์ คือ เปิด MFA บนอีเมลและการเข้าถึงระยะไกล ข้อมูลสำรองแบบออฟไลน์ที่ทดสอบแล้ว การอัปเดตแพตช์อย่างสม่ำเสมอ ระบบป้องกันเครื่องลูกข่าย และการให้สิทธิ์เท่าที่จำเป็น เฉพาะ MFA อย่างเดียวก็สกัดการโจมตีที่อาศัยรหัสผ่านได้เกือบทั้งหมด และบนแพลตฟอร์มธุรกิจส่วนใหญ่ไม่มีค่าใช้จ่ายนอกจากเวลาหนึ่งชั่วโมงที่ใช้เปิด

สังเกตว่าสี่ในห้าข้อเป็นการตั้งค่า ไม่ใช่การซื้อ สัญชาตญาณที่จะแก้ปัญหาความปลอดภัยด้วยการซื้อผลิตภัณฑ์นั้นเข้าใจได้ แต่ส่วนใหญ่ผิดที่ขนาดธุรกิจเท่านี้ ช่องโหว่ที่ทำให้ SME ไทยถูกเจาะแทบทุกครั้งคือพื้นฐานที่ไม่ได้ตั้งค่า ไม่ใช่การขาดเครื่องมือขั้นสูง

เปิดใช้ MFA ให้ครบทุกที่

เปิด MFA บนอีเมล การเข้าถึงระยะไกล VPN และบัญชีผู้ดูแลทุกบัญชี รหัสผ่านที่ถูกขโมยหรือใช้ซ้ำคือจุดเข้าของการเจาะระบบจำนวนมาก และ MFA ทำให้รหัสผ่านที่ขโมยไปใช้ไม่ได้ด้วยตัวเอง นี่คือชั่วโมงทำงานด้านความปลอดภัยที่ให้ผลสูงสุดสำหรับ SME ไทยทุกราย

เริ่มที่อีเมลก่อน เพราะอีเมลคือกุญแจหลัก ใครคุมอีเมลได้ก็รีเซ็ตรหัสผ่านของแทบทุกอย่างที่เหลือได้ จากนั้นจึงเป็นการเข้าถึงระยะไกลและ VPN แล้วตามด้วยบัญชีผู้ดูแลบนเซิร์ฟเวอร์และแพลตฟอร์มคลาวด์

หากเลือกได้ ควรใช้แอป Authenticator มากกว่ารหัสทาง SMS รหัสทาง SMS ดีกว่าไม่มีอะไรเลยมาก แต่การโจมตีแบบ SIM Swap เป็นความเสี่ยงจริงในไทย และแอปไม่มีค่าใช้จ่ายเพิ่ม

แพตช์ สำรองข้อมูล และทดสอบกู้คืนจริง

อัปเดตระบบปฏิบัติการและแอปพลิเคชันให้ทันสมัย และเก็บข้อมูลสำรองอย่างน้อยหนึ่งชุดแบบออฟไลน์หรือที่เข้าถึงจากเครือข่ายไม่ได้ Ransomware เข้ารหัสข้อมูลสำรองที่ต่อกับเครือข่ายไปพร้อมกับทุกอย่างเป็นเรื่องปกติ ข้อมูลสำรองที่ไม่เคยกู้คืนเลยคือความหวัง ไม่ใช่แผน

กฎ 3-2-1 ยังเป็นรูปแบบที่ถูกต้อง คือเก็บข้อมูลสามชุด บนสื่อสองชนิด และหนึ่งชุดอยู่นอกสถานที่ ชุดที่อยู่นอกสถานที่คือชุดที่รอดจากไฟไหม้ น้ำท่วม การโจรกรรม และ Ransomware ที่เข้าถึงทุกอย่างในเครือข่าย

จัดตารางทดสอบกู้คืนทุกไตรมาส และจดไว้ว่าใช้เวลาเท่าไร ตัวเลขนั้น คือเวลากู้คืนจริงของท่าน ไม่ใช่ตัวเลขที่ผู้ขายอ้าง เป็นตัวเลขที่มีประโยชน์ที่สุดในแผนรับมือภัยพิบัติ และธุรกิจส่วนใหญ่พบว่ามันนานกว่าที่คิดไว้หลายเท่า

อบรมพนักงาน สั้น ๆ แต่บ่อย

การโจมตีที่สำเร็จส่วนใหญ่เริ่มจากอีเมลที่น่าเชื่อ ไม่ใช่จากช่องโหว่ทางเทคนิค การอบรมรู้ทันฟิชชิงสั้น ๆ อย่างสม่ำเสมอลดอัตราการคลิกได้อย่างวัดผลได้ และมีต้นทุนเพียงเศษเสี้ยวของการกู้คืนหลังถูกโจมตี อบรม 15 นาทีทุกไตรมาส ได้ผลดีกว่าอบรมสองชั่วโมงปีละครั้ง

ฟิชชิงภาษาไทยพัฒนาขึ้นมาก คำแนะนำเดิมที่ว่า "ให้ดูว่าภาษาผิดไหม" ใช้ไม่ได้แล้ว โดยเฉพาะเมื่อผู้โจมตีใช้โมเดลภาษาชุดเดียวกับที่ทุกคนใช้ ควรอบรมที่สัญญาณเชิงพฤติกรรมแทน คือความเร่งด่วนที่ผิดปกติ การขอให้เปลี่ยนข้อมูลการชำระเงิน และข้อความใด ๆ ที่พยายามกันไม่ให้ตรวจสอบผ่านช่องทางอื่น

ประกาศให้ชัดว่าการแจ้งอีเมลที่สงสัยว่าเป็นฟิชชิงเป็นเรื่องที่ยินดีเสมอและไม่มีการลงโทษ รวมถึงกรณีที่เผลอคลิกไปแล้ว ระยะเวลาระหว่างการถูกเจาะกับการแจ้งคือตัวแปรที่ท่านมีอิทธิพลมากที่สุด และความกลัวถูกตำหนิคือสิ่งที่ทำให้ระยะเวลานั้นยาวขึ้น

รู้ว่าต้องโทรหาใครก่อนที่จะต้องใช้

กำหนดล่วงหน้าว่าใครรับมือเหตุการณ์ ใครมีอำนาจสั่งตัดระบบออกจากเครือข่าย และใครแจ้งใคร แผนหน้าเดียวที่เป็นลายลักษณ์อักษรเปลี่ยนความโกลาหลให้เป็นกระบวนการที่ควบคุมได้ และภายใต้ PDPA ความสามารถในการรับมือเหตุการณ์ที่มีเอกสารรองรับเป็นสิ่งที่คาดหวัง ไม่ใช่ทางเลือก

แผนต้องตอบสี่คำถาม คือใครตัดสินใจ ใครลงมือ ใครสื่อสาร และต้องเก็บรักษาหลักฐานอะไร ข้อสุดท้ายสำคัญกว่าที่คนคิด สัญชาตญาณระหว่างเกิดเหตุคือรีบล้างเครื่องแล้วติดตั้งใหม่ทันที ซึ่งทำลาย Log ที่จำเป็นต่อการพิสูจน์ว่ามีการเข้าถึงข้อมูลส่วนบุคคลหรือไม่ ซึ่งเป็นสิ่งที่ท่านต้องรายงานภายใน 72 ชั่วโมงพอดี

เก็บฉบับพิมพ์ไว้ด้วย หากเหตุการณ์กระทบระบบของท่าน แผนรับมือที่เก็บไว้บนระบบนั้นอย่างเดียวจะใช้ไม่ได้ในตอนที่ต้องใช้พอดี

• ใครคือผู้นำการรับมือที่ระบุชื่อไว้ และใครทำแทนเมื่อคนนั้นไม่อยู่
• ใครมีอำนาจตัดระบบหรือตัดทั้งเครือข่าย
• ช่องทางติดต่อสำรองของผู้ให้บริการ IT คืออะไร ต้องเป็นเบอร์โทร ไม่ใช่อีเมล
• ระบบไหนเก็บข้อมูลส่วนบุคคล และจึงเข้าเงื่อนไขต้องแจ้งตาม PDPA
• สำเนาออฟไลน์ของแผนนี้เก็บไว้ที่ไหน